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(57) Abstract 

The invention concerns 
a method enabling a smart 
card and a terminal whereto 
it is connected to authenti- 
cate each other. The inven- 
tion is characterised in that 
at the end of each transaction | 
the terminal calculates, from 
data representing the card at 
said transaction end, a secret 
code CSC2 which is recorded 
in a zone ZCSC with unpro- 
tected access in the card mem- 
ory and an authentication cer- 
tificate CA2 which is recorded 
in a zone ZCA with protected 
access of the memory by pre- 
senting a secret code CSC2. 
At the next transaction, the 
terminal calculates, by means 
of data contained in the card, 
a secret code and an authenti- 
cation certificate which are compared 
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CSN AND OTHERS 



Calcul du code secret CSC^ 
COMPUTING I 
SECRET COOE 
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READING SECRET CODE CSC0 
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et de CA 2 dans ZCA z 



to those previously recorded to perform authentication. The invention is applicable to smart cards. 




(57) Abr£g£ 

L'invention conceme un proc6de" qui permet a une carte a m6moire et a un terminal auquel elle est connected de s'authentifter 
mutuellement. L' invention reside dans le fait qu'a la fin de chaque transaction le terminal calcule, a partir d* informations representatives 
de la carte a cette fin de transaction, un code secret CSC2 qui est enregistre" dans une zone ZCSC a acces non protege* de la m6moire de 
la carte et un certificat d'authentification CA2 qui est enregistre* dans une zone ZCA a acces protege* de la memoire par la presentation du 
code secret CSC2. A la transaction suivante, le terminal calcule, a l'aide des informations contenues dans la carte, un code secret et un * 
certificat d'authentification qui sont compares a ceux pr^ceclemment enregistre^ pour r6aliser Tauthentification. L'invention est applicable 
aux cartes a mdmoire. 
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PROCEDE D'AUTHENTIFICATION ENTRE UNE CARTE A MEMOIRS ET 

UK TERMINAL 



L 1 invention concerne les cartes a memoire et les 
terminaux auxquels elles sont susceptibles d'etre 
connectees de temps a autre et, plus particulierement , 
un proc£d6 qui permet & la carte a memoire et au 
5 terminal de s •authentif ier . 

Les cartes a memoire, du fait qu' elles ne comportent 
pas un microprocesseur , ne peuvent pas mettre en oeuvre 
un algorithme d 1 authentif ication qui implique des 
calculs. Cependant, certaines cartes a memoire mettent 

10 en oeuvre un algorithme sous forme c&blfee qui permet 
1 1 authentif ication dite "active" de la carte par le 
terminal mais pas 1 1 authentif ication inverse du 
terminal par la carte. Par suite de leur faible cotlt, 
les cartes S memoire sont tres utilisees dans de 

15 nombreuses applications telles que les cartes de 
fidelite, les contr61es d'acces, les paiements 
privatifs, etc ... . Cependant, par suite de 1 1 absence 
d 1 authentif ication, leur security d • emploi est 
vulnerable de sorte qu'on leur prefere parfois des 

20 cartes a microprocesseur pour certaines applications. 
Mais ces cartes a microprocesseur sont d'un coflt 
nettement plus elevfe, d'autant plus eleve que 
l 1 algorithme d 1 authentif ication est elabore, ce qui 
conduit a les ecarter pour des applications bon marche. 

25 Aussi, le but de la presente invention est d f obtenir la 
securite d 1 emploi des cartes a memoire. 

Ce but est atteint en mettant en oeuvre un precede 
d ' authentif ication dans lequel tous les calculs 
algorithmiques sont effectues par le terminal auquel la 
30 carte a memoire est connectfee. 
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Par ailleurs, les operations relatives a 
1 'authentif ication sont effectuees avant le debut d'une 
transaction proprement dite et apres la fin de cette 
transaction en vue de 1 'authentif ication au debut de la 
5 . transaction suivante, 

L 1 invention concerne done un proc^de d 1 authentif ication 
entre une carte a mfemoire comportant au moins un 
compteur et un terminal, caracterise en ce qu'il 
comprend les etapes suivantes consistant Sl : 
10 (a) Inserer la carte a memoire dans le terminal, 

(b) Calculer dans le terminal un code secret CSC^ selon 
une fonction cryptographique F de plusieurs 
variables comprenant au moins un code CSN 
identifiant la carte a memoire et la valeur dudit 

15 compteur, 

(c) Authentif ier le terminal par la carte lorsque le 
code secret calcule CSC^ est identique & un code 
CSC 0 enregistre dans la memoire t la fin de la 
precedente authentif ication selon 1' operation (f) 

2 0 ci-apres, 

(d) executer la transaction prevue et modifier la 
valeur dudit compteur, 

(e) calculer dans le terminal un nouveau code secret 
CSC 2 selon la fonction cryptographique F du code 

25 CSN identifiant la carte a memoire et de la 

nouvelle valeur dudit compteur, 

(f) mettre S jour la carte a memoire pour la prochaine 
transaction en enregistrant dans la memoire, le 
nouveau code secret CSC 2 calculi par 1 1 operation 

30 (e). 

Pour obtenir 1 ' authentif ication de la carte par le 
terminal, le proced6 comprend les etapes 
supplementaires suivantes entre les etapes (c) et (d) 
consistant a : 
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(x) calculer dans le terminal un certificat 
d* authentif ication CA^^ selon une fonction 
cryptographique G de plusieurs variables comprenant 
au moins le code CSN identifiant la carte & memoire 
5 et la valeur dudit compteur, 

(y) authentifier la carte par le terminal lorsque le 
certificat d 1 authentif ication calcule CA 1 est 
identique a un certificat CA Q calcule et enregistr§ 
dans la carte Sl la fin de la pr&cedente transaction 
10 selon les etapes (e 1 ) et (f) ci-apres : 

en ce que l'fetape (e) est completee par l'etape 
suivante consistant Sl : 

(e 1 ) calculer dans le terminal un nouveau 
certificat d* authentif ication CA 2 selon la fonction 
15 cryptographique G, 

- et en ce que l*6tape (f) est complfetSe par l'etape 
suivante consistant k : 

(f») mettre a jour la carte a memoire pour la 
prochaine transaction en enregistrant dans la 
20 memoire le nouveau certificat d 1 authentif ication 

CA 2 calculi selon l*6tape (e 1 ). 
D'autres caracteristiques et avantages de la presente 
invention apparaltront a la lecture de la description 
suivante d'un exemple particulier de realisation, 
25 ladite description 6tant faite en relation avec le 
dessin joint dans lequel : 

- la figure 1 est un schema simplifife d'une carte a 
memoire, et 

- la figure 2 est un diagramme montrant les operations 
3 0 effectuees entre le terminal et la carte a memoire 

lors d'une transaction. 
Le procede de 1 ' invention s' applique (figure 1) a une 
carte a memoire CM qui comprend bien entendu une 
m§moire M mais aussi un compteur CT dit de transactions 
3 5 qui compte les transactions effectu6es entre la carte 
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CM et un terminal TE auquel la carte est connectee par 
insertion. 

La carte a memoir e CM peut aussi comprendre un deuxieme 
compteur CE dit d 1 authentif ication qui compte les 
5 demandes d * authentif ication, ces demandes 

d' authentif ication pouvant intervenir a tout moment 
lors d'une transaction et independamment de cette 
derniere. 

Ces deux compteurs CE et CT peuvent faire partie de la 

10 memo ire M selon des dispositifs connus. 

En outre, la memoire M de la carte comprend une 
premiere zone a acces non protege en lecture dans 
laquelle est enregistre, par exemple le numero de serie 
CSN de la carte dans une partie ZCSN, et une deuxieme 

15 zone a acces prot6g6 pour le reste de la memoire, cette 
deuxieme zone comportant des parties qui sont affectees 
a 1 • enregistrement de valeurs particulidres telles 
qu*un Certificat d* Authentif ication CA dans la partie 
ZCA et une balance BAL et son certificat 

20 d' authentif ication CBAL dans la partie ZBAL. 

Une troisiSme zone 2CSC est reservee a 1 * enregistrement 
d f un code secret CSC et son acces pour enregistrement 
est soumis a la presentation du code secret CSC. 
La memoire M est adressee par un circuit d'adressage 

25 ADR et la transmission bilaterale des signaux entre le 
terminal TE et la carte CM s^effectue par 
1* intermediaire d'un circuit interface INT. 
Par ailleurs, la carte comprend un comparateur CP qui 
compare le code CSC lu dans la partie ZCSC a un code 

3 0 fourni par le terminal TE, le resultat de la 
comparaison permettant ou non l'adressage de la zone 
protegee de la memoire M. 

Le precede selon 1 1 invention sera decrit dans le cadre 
d'une authentif ication mutuelle entre la carte et le 
35 terminal en mettant en oeuvre le seul compteur de 
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transactions CT et des . f onctions cryptograph iques dites 
a sens unique mais le proc6d6 de 1 1 invention peut 
egalement s'appliquer & la seule authentif ication du 
terminal par la carte, & la mise en oeuvre simultanee 
5 des deux compteurs CE et CT et de f onctions 
cryptographiques autres que celles a sens unique. Les 
diffferentes operations, notamment cryptographiques, 
peuvent etre r€alis£es soit dans le terminal TE, soit 
dans un module de s6curit6, soit encore dans un 
10 dispositif distant. 

De preference, le procede d 1 authentif ication mutuelle 
selon 1 1 invention comprend les etapes suivantes 
consistant a : 

(m) Inserer la carte CM dans le terminal TE, cette 
15 etape pouvant comporter la presentation d*un code 
personnel PIN de 1 'utilisateur de la carte, 
(n) Calculer dans le terminal TE une cle de session 
Ks^ en : 

(n x ) lisant le numero de serie CSN de la carte CM, 
20 (n 2 ) lisant le contenu CTC 1 du compteur de 

transactions CT de la carte CM et, 

(n 3 ) calculant une cle de session Ks.^ selon une 
fonction cryptograph ique a sens unique Fj^ telle 
que : 

25 K Sl = F^d^, CSN, CTC^ 

- etant une cle-mere enregistree dans le 
terminal TE, 

- F^g etant par exemple une fonction du type 
hachage, 

3 0 (o) Calculer, dans le terminal TE, un code secret CSC 1 
de la carte a l'aide d'une fonction 
cryptographique F telle que : 
CSC 1 = FfKs-^ , 
(p) Authentif ier le terminal TE par la carte CM en : 
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(p x ) transmettant le code secret CSC 1 a la carte 
CM, 

(p 2 ) coxnparant dans le comparateur CP ce code 
secret CSC 1 & un code secret CSC Q enregistr6 dans 
5 la carte CM a la fin de la pr^cedente transaction 

avec la carte, et 

(p 3 ) autorisant la suite des operations si la 
comparaison indique !■ identity CSC Q = CSC X ou en 
la refusant dans le cas contraire ; 
10 (q) Calculer dans le terminal TE un Certificat 
d'Authentif ication CA 1 tel que : 
CA X = GCKSj^) 

- G etant une fonction cryptographique, et 
(r) Authentifier la carte CM par le terminal TE en : 
15 (r 1 ) lisant le contenu CA Q de la zone ZCA de la 

memo ire de la carte CM, 

(r 2 ) transmettant au terminal TE le contenu CA Q de 
cette zone protegee ZCA qui correspond a un 
Certificat d'Authentif ication CA Q calculi a la fin 
20 de la pr6cedente transaction, 

(r 3 ) comparant dans le terminal TE le Certificat 
d "Authent if ication calcule CA X au certificat CA Q , 
et 

(r 4 ) autorisant la suite des operations si la 
25 comparaison indique l'identite CA ± = CA Q ; 

(s) Executer la transaction, cette transaction pouvant 

consister par exemple a mettre a jour une zone de 

memoire ZBAL indiquant l f etat du credit ou balance 

BAL restant dans la carte CM en : 
30 (s-j^) lisant dans la zone ZBAL la valeur BAL Q de la 

balance resultant de la transaction precedente et 

le certificat correspondant CBALq, 

(s 2 ) verifiant que le certificat CBAL Q correspond 
bien au resultat de la fonction cryptographique 
35 telle que : 
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CBALq = H (Kt, BALq, CSN, CTC ± ) , 

- K t etant une cl6 de transaction, 

(s 3 ) incrementant le compteur de transactions a la 
valeur (CT^ + 1) = CTC 2 
5 (s 4 ) enregistrant la nouvelle balance BAL^ dans la 

zone ZBAL, 

(s 5 ) calculant un Certificat CBAL 1 de la nouvelle 

balance BAL^ telle que : 

CBAL X = H(K t/ BAL 1# CSN, CTC 2 )-, et 
10 (s 6 ) enregistrant CBAL^ dans la zone ZBAL ; 

(t) Mettre a jour la carte CM pour la prochaine 

transaction avec un nouveau code secret CSC 2 et un 

nouveau certificat CA 2 , en 

(t 1 ) calculant dans le terminal TE : 
15 - la future cl6 de session Ks 2 telle que : 

Ks 2 = F < K m' CSN ' CTC 2> 

- le futur code secret CSC 2 tel que : 
CSC 2 = F(Ks 2 ) , 

- le futur certificat d' authentif ication CA 2 tel 
2 0 que : 

CA 2 = G(Ks 2 ) , 

(t 2 ) enregistrant le code secret CSC 2 dans la 
memoire M de la carte CM dans la zone protegee et 
le certificat d 1 authentif ication CA 2 dans la zone 
25 protegee ZCA. 

L 1 invention a 6t6 decrite avec un exemple particulier 
de realisation dans lequel la transaction est une 
operation sur la valeur balance de la carte ; 
cependant, l 1 invention s* applique a toute autre 
30 transaction selon les applications prSvues pour la 
carte consid6r6e* 

Dans cet exemple particulier, la transaction se termine 
par une incrementation du compteur de transactions CT S 
une valeur CTC 2 qui est Sgale habituellement a 
35 (CTC*. + 1) . Cependant, cette valeur de CTC 2 peut etre 
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differente de (CT^ + 1) et etre egale, par exemple, a 
(CTC X + 3) . 

Ce compteur de transactions doit etre increments ou 
decrements a chaque transaction meme si 1* operation 
5 conduit a ne pas changer la balance ; dans ce cas, il 
faut effectuer la transaction en reenregistrant la 
balance inchangee mais le certificat CBAL^ sera 
different car le compteur de transactions aura ete 
increments. II en sera de meme du nouveau code secret 

10 CSC 2 et du certificat CA 2 . 

Les variables des fonctions F, G et F ks qui ont ete 
retenues dans 1« exemple sont la cle-mere, le numero de 
serie CSN et la valeur CTC du compteur de transactions. 
Cependant, des variables additionnelles peuvent etre 

15 utilisees telles que le code personnel PIN de 
l'utilisateur de la carte, ce code etant entre dans le 
terminal apres insertion de la carte. 

L ' invention a ete decrite dans le cadre d'une 
authentif ication mutuelle carte/terminal mais elle 

20 s' applique de maniere plus generale d'abord a une 
authentif ication du terminal par la carte, cette 
premiere authentif ication pouvant Stre suivie ou non 
par une authentif ication de la carte par le terminal, 
1' ensemble des deux authentif ications realisant une 

25 authentif ication mutuelle. 

L • exemple decrit utilise des fonctions cryptographiques 
F, G et F ks utilisant des variables telles gu'une cle- 
mere 1^, une cle de session K s et une cle de 
transaction K t , mais de telles cles ne sont pas 

30 necessaires pour mettre en oeuvre 1* invention. 

La valeur du compteur d • authentif ications CE est de 
preference utilisee pour le calcul du code secret CSN 
tandis que la valeur du compteur de transactions CT est 
de preference utilisee pour le calcul du certificat 

35 d' authentif ication CA. 
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REVENDICATIONS 



1. Proced6 d'authentif ication entre une carte a memoire 
(CM) comportant au moins un compteur (CE, CT) et un 
terminal (TE) , caract6ris6 en ce qu'il comprend les 
gtapes suivantes consistant Sl : 
5 (a) Inserer la carte Sl m&moire (CM) dans le terminal 
(TE) , 

(b) Calculer dans le terminal un code secret CSC^ selon 
une fonction cryptographique F de plusieurs 
variables comprenant au moins un code CSN 

10 identifiant la carte a memoire et la valeur (CTE 1# 

CTC 1 ) dudit compteur (CE, CT) , 

(c) Authentifier le terminal par la carte lorsque le 
code secret calcule CSC 1 est identique a un code 
CSCq enregistre dans la memoire a la fin de la 

15 precedente authentif ication selon l 1 operation (f) 

ci-apr6s, 

(d) executer la transaction prevue et modifier la 
valeur (CTE 2 , CTC 2 ) dudit compteur (CE, CT) , 

(e) calculer dans le terminal (TE) un nouveau code 
2 0 secret CSC 2 selon la fonction cryptographique F du 

code CSN identifiant la carte a memoire (CM) et de 
la nouvelle valeur (CTE 2 , CTC 2 ) dudit compteur (CE, 
CT), 

(f) mettre a jour la carte a memoire (CM) pour la 
25 prochaine transaction en enregistrant dans la 

memoire (M) , le nouveau code secret CSC 2 calculi 
par !• operation (e) . 



30 



2. Proc^de selon la revendication 1, caracteris6 : 
-en ce qu f il comprend les stapes supplementaires 
suivantes entre les etapes (c) et (d) consistant a : 
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(x) calculer dans le terminal (TE) un certificat 
d' authentication CA X selon une fonction 
cryptographigue G de plusieurs variables comprenant 
au moins le code CSN identifiant la carte a memo ire 
et la valeur (CTE X , CTC^ du compteur (CE, CT) , 

(y) authentif ier la carte (CM) par le terminal ' (TE) 
lorsque le certificat d • authentif ication calcule 
CA 1 est identigue a un certificat CA Q calcule et 
enregistrS a la fin de la precedente transaction 
selon les etapes (e') et (f) ci-apres : 
en ce que l'etape (e) est completee par l'etape 
suivante consistant a : 

(e«) calculer dans le terminal (TE) un nouveau 
certificat d • authentif ication CA 2 selon la fonction 
cryptographigue G du code CSN identifiant la carte 
a memoire et de la nouvelle valeur (CTE 2 , ctc ) 
dudit compteur (CE, CT) , 

et en ce que l'etape (f) est completee par l'etape 
suivante consistant a : 

(f) mettre a jour la carte a memoire (CM) pour la 
prochaine transaction en enregistrant dans la 
memoire ( M ) le nouveau certificat 

d' authentif ication CA 2 calcule selon l'etape (e'). 

3. Procede selon la revendication 1, caracterise : 
- en ce que l'etape (b) consiste a : 

- calculer d'abord dans le terminal (TE) une cle de 
session K sl selon une fonction cryptograph ique F kg 
de plusieurs variables comprenant au moins une cle- 
mere 1^ connue du terminal (TE) , le code CSN 
identifiant la carte a memoire (CM) et la valeur 
(CTE^ , CTC X ) dudit compteur (CE, CT) , 

- calculer ensuite dans le terminal (TE) le code 
secret CSC X selon la fonction cryptographique F de 
la cle de session K gl , 
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- en ce que I'etape (e) consiste Si : 

- calculer d'abord dans le terminal (TE) une 
nouvelle cl6 de session K s2 selon la fonction 
cryptographique F ks avec la nouvelle valeur (CTE 2 , 

5 CTC 2 ) dudit compteur (CE, CT) , 

- calculer ensuite dans le terminal (TE) le nouveau 
code secret CSC 2 selon la fonction cryptographique 
F de la nouvelle cle de session K g2 . 

10 4. Procede selon la revendication 2 et 3, caracterise 
en ce que : 

- I'etape (e 1 ) consiste a calculer le nouveau 
certificat d'authentif ication CA 2 selon la fonction 
cryptographique G de la nouvelle cli de session K s2 , 

15 

5. Procede selon l"une quelconque des revendications 
precedentes 1 a 4, dans son application a une carte a 
m§moire (CM) comprenant deux compteurs, l'un (CE) 
comptant les authentif ications et l 1 autre (CT) comptant 
20 les transactions de paiement, caracterise en ce que les 
variables des fonctions cryptograph iques F, G et F ks 
comprennent les valeurs (CTE 1# CTE 2 , CTC 1# CTC 2 ) 
desdits compteurs . 

25 6. Procede selon l'une des revendications precedentes 
caracteris6 en ce que les fonctions cryptographiques F f 
G et F^g sont des fonctions a sens unique. 

7. Procede selon la revendication 6, caracterise en ce 
3 0 que les fonctions cryptographiques F, G et F ks sont des 
fonctions de "hachage". 
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8. ProcedS selon I'une des revendications precedentes 3 
a 7, caracterise en ce que I'etape (b) comprend les 
etapes suivantes consistant & : 
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(b x ) lire le numero de serie CSN de la carte (CM) , 
(b 2 ) lire le contenu (CTE X et/ou CTC^ du 
corapteur, et 

(b 3 ) calculer la cle de session selon une fonction 
5 cryptographique F ks telle que : 

Ks l " F Ks(*m> C SN, CTC X ). 

9. Procede selon l'une des revendications l a 8, 
caracterise en ce que l'etape (c) comprend les etapes 

10 suivantes consistant a : 

(c^) transmettre le code secret CS^ a la carte 
CM, 

(c 2 ) comparer dans la carte ce code secret CSC 1 a 
un code secret CSC 0 enregistre dans la carte CM a 
15 la fin la precedente transaction avec la carte, 

et 

(c 3 ) autoriser la suite des operations si la 
comparaison indique l'identite CSC Q - CSC ± ou en 
la refusant dans le cas contraire. 

20 

10. Proc6de selon l'une des revendications 2 a 9, 
caracterise en ce que l'etape (y) comprend les etapes 
suivantes consistant a : 

(y x ) lire le contenu CA Q de la zone ZCA de la 
25 memo ire de la carte CM, 

(y 2 ) transmettre au terminal (TE) le contenu CA Q 
de cette zone ZCA qui correspond a un Certificat 
d 'Authentication CA Q calcule a la fin de la 
precedente transaction, 
30 (y3^ comparer dans le terminal TE le Certificat 

d'Authentif ication calcule CA 1 au certificat CA Q , 
et 

(y 4 ) autoriser la suite des operations si la 
comparaison indique l'identite CA, = CA Q . 

35 
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11. Proced6 selon I 1 une des revendications 1 a 10, 
caracterise en ce que l'6tape (d) comprend, dans le cas 
d'une modification de la balance BALq, les etapes 
suivantes consistant a : 

5 (d 1 ) lire dans une zone ZBAL de la memo ire (M) la 

valeur BALq de la balance resultant de la 
transaction pr6c6dente et le certificat 
correspondant CBALq, et 

(d 2 ) verifier que le certificat CBALq correspond 
10 bien au resultat de la fonction cryptographique 

telle que : 

CBALq = H (K t/ BAL Q/ CSN, CTC-^ , 
- K t 6tant une cl6 de transaction, 

(d 3 ) incrementer le compteur de transactions a la 
15 valeur (CTC ± + 1) = CTC 2 

(d 4 ) enregistrer la nouvelle balance BAL 1 dans la 
zone ZBAL, 

(d 5 ) calculer un Certificat CBAL^ de la nouvelle 
balance BAL^ telle que : 
20 CBAL X = H(K t , BAL X , CSN, CTC 2 ), et 

(d 6 ) enregistrer CBAL 1 dans la zone ZBAL. 

12. Precede selon l'une des revendications pr^cedentes 
1 & 11, caracterise en ce que : 

25 - l'etape (a) comprend en outre, une etape d 1 entree du 
code personnel PIN de 1 'utilisateur . 



13. Procede selon l'une des revendications prec€dentes 
3 a 12, caracterise en ce que : 
30 - dans l'etape (b) , l'une des variables utilis^es pour 

le calcul de session Ks 1 est le code personnel PIN de 

1 'utilisateur . 



• 
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